当模型输出可以被任意伪造、托管方又无需公开权重时，"这条回复是不是那个模型生成的"正在变成一个无法回答的问题。Anthropic 的 FlashProve 试图用密码学给出答案。

发生了什么

Anthropic 发布了一个名为 FlashProve 的 zkSNARK 原型，采用 Apache 2.0 许可证开源。它的目标是：在不泄露模型权重的情况下，生成一份密码学证明，表明某条回复确实由某个"被承诺"的模型产生——所谓承诺，即事先对权重做哈希绑定，事后无法抵赖。

根据公开信息，该原型在单张 H100 上对 Llama 4 Maverick 进行证明，吞吐约 110 tokens/s，单份证明体积约 19 MB。需要强调的是，这是一个原型（prototype），而非可直接投产的产品；上述数字也来自官方演示场景，不能直接外推到更大模型或更复杂推理路径。

为什么重要

这件事的意义不在于"又一个 zk 项目"，而在于它触碰了当前 AI 供应链里一个结构性缺口。

第一，模型来源的可验证性长期缺位。API 提供方说"你用的是我们的旗舰模型"，用户只能选择相信。模型指纹、水印、日志审计都只能提供弱证据，且依赖提供方自证。密码学证明把"信任"换成了"可检验"。

第二，它与"开放权重"并不矛盾，反而互补。开放权重解决的是"我能拿到模型"，零知识证明解决的是"我能确认这次推理用的是它"。对需要合规审计的金融、医疗、法律场景，后者往往更关键。

第三，Anthropic 自身是闭源阵营的代表，却开源了一个服务于"可验证推理"的工具，这本身值得注意：它更像是在为整个行业铺设信任基础设施，而非直接服务于自家产品的护城河。

影响与看点

对开发者而言，最直接的问题是成本。zkSNARK 证明推理过程的开销历来是瓶颈，110 tokens/s 的演示速度说明它已从"不可用"走向"可讨论"，但距离"每个请求都附带证明"仍有距离。合理预期是先在批量审计、模型发布验证、争议仲裁等低频高价值场景落地。

对行业而言，这类工作可能催生新的角色分工：模型方承诺权重，推理方生成证明，第三方独立校验。它会和模型溯源、内容凭证（C2PA 一类）形成互补，但解决的是不同层次的问题——后者证明"内容来自谁"，前者证明"计算用了什么"。

值得关注的几个具体点：证明生成能否进一步压缩到接近实时；19 MB 的证明体积在真实传输链路中是否可接受；以及是否有主流推理框架愿意把证明生成纳入标准流程。

一个克制的判断：FlashProve 短期内不会改变普通用户使用 AI 的方式，但它为"可验证 AI"提供了一个可运行的起点。当监管开始追问"你怎么证明这是你的模型输出的"，这类原型会从论文走进采购清单。